Аноним под ником Cryptotrice, называющий себя блокчейн-разработчиком, публиковал в соцсети X инструкцию по использованию «модифицированной версии TradingView Premium 3.3.0», выпущенной в октябре. Автор обещал пользователям бесплатный доступ к платным функциям построения графиков. Под них попадали отображение восьми графиков на одной вкладке и установка до 400 ценовых оповещений.
Блогер предлагал скачать защищённый паролем архив, запустить программу и нажать кнопку Generate в окне генератора ключей (KeyGen). Один пост со ссылкой на замаскированный стилер набрал более 360 000 просмотров. Проект позиционировался как ПО с открытым исходным кодом, однако эксперты SlowMist установили, что ссылка для скачивания ведёт не на GitHub.
На вопрос о закрытости репозитория и Discord-сервера аноним ответил, что репозиторий стал приватным, а ссылки внутри программы перестают работать после первого использования. Специалисты SlowMist предостерегают: взломанное ПО, генераторы ключей и защищённые паролем архивы — частые способы распространения вредоносных программ для кражи данных. Пароль на архив мешает антивирусам проверить содержимое до распаковки, поэтому проверка уже после установки запоздалая.
Скачиваемый файл оказался вредоносной программой, которая собирает сохранённые в браузере логины и пароли, а также данные из Телеграма. Стилер отправляет собранную информацию на командный сервер через интерфейс Windows WinINet, рассказали в SlowMist. Утечка файлов сессий даёт злоумышленнику доступ к переписке без знания пароля, пока активные сеансы не завершены.
Число пострадавших и сумму украденных средств в SlowMist не уточнили. Всем, кто мог загрузить программу, рекомендуется отключить заражённое устройство от сети и как можно скорее перевести криптоактивы на новый кошелёк с другой сид-фразой. Следует также сменить пароли от криптобирж, браузеров, почты и Телеграма и завершить все активные сеансы в мессенджере.
На прошлой неделе SlowMist рассказала о заражённой программе DarkSword, которая извлекает пароли от криптокошельков и фразы восстановления с iPhone при посещении скомпрометированных сайтов. В октябре аналитики Symantec Threat Hunter обнаружили новую версию инфостилера Aoki (Aokigahara), крадущего файлы сессий ИИ-ассистентов, cookie-файлы и данные криптокошельков. Кампания с фейковым TradingView повторяет типовую схему: узнаваемое имя трейдинг-платформы служит приманкой для криптоаудитории.
